#main-nav-header { display:none; }

一種新型威脅出現了

揭開這個假日季的網路安全趨勢

隨著假日季的繼續，外界對線上流量創下新高的期待愈發強烈。僅在今年「網路星期一」當天，全球線上消費金額就突破 124 億美元，刷新電子商務交易紀錄。然而，隨著線上活動的暴增，也帶來了隱藏的危機——假期季節已成為網路攻擊的主要目標。2022 年，高達 83% 的資安事件涉及外部攻擊者，其動機主要出於財務利益。就在消費者準備歡度佳節之際，一種新型威脅正伺機而動，企圖趁虛而入。

一個新的零時差漏洞出現了

一個名為「HTTP/2 Rapid Reset」的新型零時差漏洞已出現，該漏洞允許發動高容量 DDoS 攻擊，尤其針對 Web 伺服器和 Web 應用程式等 HTTP 資源，構成重大風險。這個全球性漏洞不僅威脅到線上購物體驗，還揭示了網路攻擊令人擔憂的趨勢：攻擊更注重請求的速度和數量，而非傳統的流量大小。該漏洞本身已經非常普遍。大約 62% 的網際網路流量使用 HTTP/2 通訊協定，這使得大多數 Web 應用程式和伺服器面臨風險，容易受到這種新攻擊。允許多個資料流往返伺服器和瀏覽器的 HTTP/3 網路通訊協定也面臨風險。

HTTP/2 Rapid Reset 漏洞所造成的影響，已遠超過線上假期購物體驗的短期中斷。企業，尤其是高度仰賴電子商務的公司，已經面臨從營收損失到聲譽受損等嚴重後果。利用此漏洞的 DDoS 攻擊可能會使伺服器不堪重負，導致服務中斷、讓使用者感到沮喪並損害品牌形象。這類新型攻擊強調速度與流量，迫使企業必須重新評估其網路安全策略。傳統方法通常著重於緩解大規模攻擊，但對於 HTTP/2 Rapid Reset 攻擊這種快速且具有針對性的攻擊，可能顯得力不從心。

在假日季保護您的組織

眾所周知，假日期間的網路攻擊並不罕見。雖然緩解 HTTP/2 Rapid Reset 威脅至關重要，但同樣重要的是要對可能對業務造成持久影響的現有威脅策略保持警惕。讓我們來看看常用於攻擊組織的三種不同類型的攻擊：

1. 網路釣魚攻擊：

網路釣魚一直是網路犯罪分子常用的武器，而節慶季節正是此類攻擊的黃金時機。網路犯罪分子經常利用線上交易和通訊量的增長，精心設計複雜的網路釣魚電子郵件和虛假網站，誘騙使用者洩露敏感性資訊。隨著員工和客戶頻繁收到節日主題的促銷和優惠訊息，他們遭受網路釣魚攻擊的可能性也顯著增加。

除了電子郵件安全之外，優先考慮員工教育並定期進行識別網路釣魚攻擊的培訓課程大大有助於阻止這些攻擊。

2. 勒索軟體：

勒索軟體仍然是各個產業面臨的重大威脅，佔資料外洩事件的近 24%，在過去兩年中，勒索軟體的平均成本增加了兩倍。假日季對零售商來說風險更高，因為他們無法承受在營運高峰期系統或資料遭到入侵的後果。

各組織應採取全面而多樣化的方法來有效預防和減輕勒索軟體的影響，尤其是在新興勒索手段不斷放大攻擊潛在影響的情況下。採用 Zero Trust 安全模型是加強網路邊界、限制橫向移動的有效方法。

3. 認證填充：

另一個古老卻持續存在、且在假期期間活躍度攀升的威脅，就是認證填充。由於民眾在購物時會使用多個線上平台，網路罪犯便藉機利用使用者在不同網站間重複使用密碼的行為進行攻擊。一項研究發現，44% 的受訪員工在個人帳戶和工作帳戶上使用相同的登入認證。一旦一組認證被洩露，攻擊者就可以利用自動化工具在其他平台上測試這些認證，藉此濫用使用者在多個帳戶間重複使用相同密碼的普遍行為。

為了因應認證填充，組織應盡可能實施多重要素驗證。實施 Web 應用程式防火牆 (WAF) 有助於封鎖使用暴露認證的請求。

假日之外的安全性

隨著假日購物季結束，新年伊始，企業面臨的威脅將延續季節性模式——重新掌控安全性和 IT 將成為 2024 年及以後的首要任務。作為一種新的雲端模式，全球連通雲已成為具有連線和保護功能的強大網路的關鍵組成部分。

Cloudflare 是業界領先的全球連通雲公司。它為各种組織提供支援，不僅幫助世界各處的員工、應用程式和網路提升速度和安全性，還降低了複雜性和成本。Cloudflare 的全球連通雲提供了功能最齊全的統一雲端原生產品和開發人員工具平台，因此，任何組織都能獲得高效工作、不斷開發和加速業務所需的控制能力。

Cloudflare 就影響當今技術決策者的最新趨勢和主題發表了一系列文章，本文為其一。